コラム

• 

  3DS・チャージバック

  2025/04/21

  【義務化スタート】クレジットカードセキュリティガイドライン6.0、EC事業者が今すぐ取るべき対応とは

  クレジットカードを巡る不正利用被害が年々深刻化するなか、経済産業省を中心とした「クレジット取引セキュリティ対策協議会」は、2025年3月に『クレジットカード・セキュリティガイドライン』の最新版となる「6.0版」を公表しました。 本記事では、6.0版で新たに示された主な改訂ポイントと、それに対してEC事業者がどのように対応すべきかを分かりやすく解説します。 1. クレジット・セキュリティガイドライン6.0版の主な改訂ポイント ガイドライン改訂に至った経緯 2023年、クレジットカードの不正利用被害額は541億円に達し、そのうち約9割がECサイトにおける「なりすまし」などの非対面取引で発生しています。 特にログイン情報の乗っ取りや、不正登録による購入行為など、カード番号以外の経路からの被害が急増しており、従来の対策では対応が追いつかない状況となっていました。 従来は、「カード情報を保存しない（非保持化）」、または「保存する場合はPCI DSS準拠」という国際的な基準に従うことで、一定のセキュリティが担保されていました。しかし、攻撃の手法が日々巧妙化するなか、こうした基本対策だけでは十分とは言えなくなってきています。 これを受けて6.0版では、ECサイト自体の安全性を高めるために、管理画面のアクセス制限、Webアプリケーションの脆弱性対策、ウイルス対策ソフトの導入など、具体的な技術的対策が新たに指針として盛り込まれました。 不正利用対策の目指す「線の考え方」 クレジットカード・セキュリティガイドライン6.0版では、不正利用対策の考え方として「線の考え方」が改めて強調されています。従来から示されていたこの方針に対し、6.0版ではより具体的・実践的な指針が追加された形となり、実務レベルでの対応が明確になりました。 これまでは「決済時の本人確認」を中心とした対策が主流でしたが、6.0版では決済前・決済時・決済後という一連のフロー全体を通じて不正を防止する、包括的・多層的なセキュリティ対策の必要性が明示されています。 特に、決済前の「不正ログイン対策の実施」と、決済時の「EMV 3-Dセキュアの導入」は、EC加盟店に求められる重点施策として位置づけられており、取引の早い段階からセキュリティの線を引くための重要な柱とされています。 とりわけ決済前には、「会員登録」「ログイン」「属性変更」といった各操作にも不正のリスクが潜んでおり、初期段階での対策を通じて被害の未然防止を図るアプローチが求められています。 2. 決済前のセキュリティ強化ポイント 不正ログイン対策の導入が“義務化”された背景 クレジット・セキュリティガイドライン6.0版では、「会員登録」「ログイン」「属性変更」などの操作において、第三者による不正アクセスを防ぐための対策が新たに明記されました。とりわけ「不正ログイン対策の実施」は、従来の推奨事項から義務レベルの指針へと明確に格上げされています。 背景には、ID・パスワードの流出や使い回しを狙った「リスト型攻撃」、アカウントを乗っ取って配送先を変更する手口など、決済前を狙う攻撃が急増している現状があります。 これにより、決済情報を守るには、より早い段階からのセキュリティ強化が不可欠となったのです。なかでも不正利用が多発している加盟店や、ブランド品・電子チケットなどの高リスク商材を扱うEC事業者では、多要素認証や行動分析といった、より高度な不正ログイン対策の導入が強く求められています。 有効な対策一覧と導入シーン別のポイント クレジット・セキュリティガイドライン6.0版では、不正ログインへの対応として複数の技術的対策を挙げており、それぞれの対策がどの場面で効果を発揮するのかを意識した導入が重要とされています。 以下に、代表的な対策とその活用シーンを整理して紹介します： 不審なIPアドレスの制限：常時の異常接続を遮断 2段階認証・多要素認証（MFA）：ログイン・属性変更時の本人確認 会員登録時の個人情報確認：不正登録の防止 ログイン試行回数の制限：リスト型攻撃の抑止 ログイン・属性変更時の通知：利用者による異常検知...

  お知らせ一覧
• 

  認証

  2025/04/01

  メルカリでパスキー不具合多発？ログインできない原因と代わりの認証方法

  近年、パスワードに代わる次世代の認証方式として注目されている「パスキー」。その安全性や利便性から導入を進めるサービスも増えています。一方、ユーザー側では混乱や技術的な不具合も報告されています。 こうした中で、特にフリマアプリ「メルカリ」ではパスキー導入以降、一部のユーザーがログインできないといった問題が多発し、SNSでも話題になっています。 本記事では、メルカリで起きているパスキー認証にまつわるログイントラブルの実態と技術的な背景、さらには代替となる現実的な認証方法について解説します。 1. メルカリで発生しているパスキー認証トラブルとは？ Togetterでも話題に：広がるログイン不具合 2024年秋頃から、SNS上で「メルカリにログインできない」という声が急増しています。中でもTogetterでは、実際に被害に遭ったユーザーたちの投稿がまとめられ、大きな注目を集めました。 「スマホでは使えていたが、パソコンからのログインが急にできなくなった」などの報告が相次いでいます。具体的には、USBセキュリティキーの挿入を求められるケースや、QRコードが表示されたもののスマートフォンで読み取るとエラーになるケースなど、複数のパターンが確認されています。 これらの投稿には、普段からメルカリを利用していたユーザーの困惑が色濃くにじんでおり、ログイン方法の変化に戸惑う声が数多く見られました。 「セキュリティキーをUSBポートに挿入してください」のアラートが多数報告 最も多く報告されているのが、「セキュリティキーをUSBポートに挿入してください」という表示によってログインができなくなるケースです。 セキュリティキーとは、USBメモリのような形状の本人確認用デバイスのことを指しますが、実際のユーザーたちの声によると、そのようなセキュリティキーなど設定した覚えがないとのこと。 これは、パスキーを登録した際にスマートフォン内に保存された「秘密鍵」が、他の端末では認証に使えないことが原因と考えられます。本来であれば、QRコードを利用した端末間の認証移行などが用意されているはずですが、メルカリ側の実装状況やAndroidなどの端末側の対応状況によって、正常に機能しないケースが確認されています。 問い合わせでも解決しないユーザーが続出 これらの問題について、サポート側でも新しい認証方式であるパスキーに対する知見やマニュアルが整っておらず、個別対応が難しい状況にあると考えられます。 実際にメルカリのカスタマーサポートに問い合わせたというユーザーからは、「キャッシュを削除してください」「別のブラウザをお試しください」といった、状況に即していないテンプレート対応ばかりが返ってくるとの声が多く、根本的な解決には至っていないケースが大半です。 結果として、メルカリの利用を断念せざるを得ない状況に直面するユーザーも見受けられ、運営に対する信頼感の低下を招く要因となっています。 2. パスキーの仕組みと課題 パスキーは秘密鍵を端末に保存する構造 パスキーは、従来のパスワードに代わる認証方式として開発された技術で、ユーザーの秘密鍵を各端末に保存する仕組みとなっています。 特に、指紋認証や顔認証といった生体認証を利用して本人確認を行うスタイルは、多くのユーザーにとって直感的で分かりやすく、パスワード入力の手間を省きつつ、高い安全性と利便性を実現しています。 ただし、この仕組みは「認証に使う秘密鍵が端末の中にある」という前提の上で成り立っています。そのため、たとえ同じアプリケーションであっても、別の端末からログインしようとすると、同じ秘密鍵がなければ認証は成立しません。 デバイス依存やプラットフォーム間の非互換が課題 「秘密鍵を各端末に保存する」というパスキーの前提構造が、逆にトラブルの原因となることもあります。 たとえば、スマートフォンでパスキーを登録した場合、パソコンから同じアカウントにログインしようとしても、秘密鍵が存在しないため認証できないか、あるいは追加の認証手段が求められる場合があります。 また、端末を機種変更した際も、設定内容やバックアップの状況によっては認証に失敗する事例も珍しくありません。 さらにAndroidやiOS、Windows、macOSといった異なるプラットフォーム間では、パスキーの管理方式や仕様に違いがあり、QRコードを使った連携がうまくいかないケースもあります。 実際に、PCに表示されたQRコードをスマートフォンで読み取った際、ログインエラーが発生したり、「別のデバイスで再試行してください」といったメッセージが表示される事例も確認されています。 端末間のバージョン差による動作不良も確認...

  お知らせ一覧
• 

  フィッシング詐欺 認証

  2025/03/10

  GmailのSMS認証が廃止へ｜なぜ？フィッシング対策と二要素認証の今後

  フォーブスの記事によると、GoogleはGmailのログイン時に利用されていたSMS認証を廃止する方針を発表しました。この変更はセキュリティの強化を目的としたものですが、なぜ今このタイミングで行われるのでしょうか？  本記事では、SMS認証が抱えるリスクやGoogleの方針、そして今後の代替認証手段について詳しく解説します。 1. GmailのSMS認証が廃止される理由 SMS認証の脆弱性（フィッシング詐欺とトラフィックポンピング） Gmailの広報担当者リッチェンドルファー氏と同僚のサムラ氏によれば、GmailのSMS認証廃止の背景には二つのセキュリティリスクがあるといいます。 一つ目はフィッシング詐欺のリスクです。 SMS認証コードは、偽のログインページを使ったフィッシング攻撃によって盗まれるリスクがあります。ユーザーが正規のGoogleサイトだと思い込み認証コードを入力すると、その情報が攻撃者に渡り、不正アクセスの危険性が高まります。その結果、アカウントが乗っ取られたり、個人情報が流出して被害が発生するケースも少なくありません。 二つ目は、トラフィックポンピングの被害拡大です。 これは詐欺業者がGoogleのSMS認証を悪用し、自分たちの管理する番号に大量の認証コードを送信させることで、手数料を不正に得る手口です。 本来SMS認証の実行時にはGoogleから通信キャリアに支払いが発生します。しかし、一部の通信キャリアは詐欺業者と結託し、Googleから受け取る手数料の一部を詐欺業者に還元することで、不正な利益を生み出しています。 こうした構造により、Googleは不要なコスト負担を強いられ、結果的にSMS認証の維持が企業にとって大きな負担となっています。 Googleが進めるセキュリティ強化の方向性 Googleは、SMS認証の廃止を単なる仕様変更ではなく、全体的なセキュリティ強化の一環と位置付けています。 SMS認証はフィッシング攻撃の標的になりやすく、さらにトラフィックポンピングによる不正なコスト負担を招くリスクもあります。そのため、Googleはより安全な認証方法への移行を進めています。 すでに生体認証や二要素認証の強化が進められており、さらなる対策として利便性と安全性を両立した新たな認証手段の導入が検討されています。 2. 代替案としての認証手段 二要素認証アプリ 二要素認証アプリとは、パスワードに加えてもう一つの認証要素を必要とすることで、セキュリティを強化する仕組みです。その代表例が「Google Authenticator」です。このアプリは、ログイン時にワンタイムパスワード（OTP）を生成し、そのコードを入力することで認証を行います。 SMS認証と異なり、フィッシング攻撃でコードを盗まれるリスクが低く、通信キャリアを経由しないためトラフィックポンピングの影響も受けません。 また、インターネット接続が不要なため、より安全な認証手段として多くのサービスで採用されています。 プッシュ通知型認証 Googleプロンプトは、スマートフォンに直接ログイン通知を送信し、ワンタップで認証を完了できる仕組みです。この方式の最大の特徴は、ユーザーが手入力でコードを入力する必要がない点です。 フィッシング攻撃では、偽のサイトでユーザーに認証コードを入力させる手口が一般的ですが、Googleプロンプトではそのような手法が通用しません。 ユーザー自身がログインリクエストを確認して承認するため、不正アクセスのリスクを大幅に減らすことができます。 パスキー 近年、Googleはパスワードレス認証の普及を進めており、その中心的な技術が「パスキー」です。パスキーは、指紋認証や顔認証、PINコードを利用して、従来のパスワード入力を不要にする認証方式です。 端末に直接認証情報を保存するため、外部からの攻撃によってパスワードが流出するリスクを防ぐことができます。さらに、ユーザーは複雑なパスワードを覚える必要がなく、セキュリティと利便性を両立できる点が大きなメリットです。...

  お知らせ一覧